POR EL CUAL SE REGLAMENTAN ARTÍCULOS DE LA LEY N.° 6822/2021, «DE LOS SERVICIOS DE CONFIANZA PARA LAS TRANSACCIONES ELECTRÓNICAS, DEL DOCUMENTO ELECTRÓNICO Y LOS DOCUMENTOS TRANSMISIBLES ELECTRÓNICOS».

Asunción, 3 de agosto de 2022

VISTO: La presentación realizada por el Ministerio de Industria y Comercio, a través de la cual solicita la reglamentación de artículos de la «De servicios de confianza para las transacciones electrónicas, del documento electrónico y los documentos transmisibles electrónicos».

CONSIDERANDO: Que el artículo 238, numerales 1) y 3), de la Constitución atribuye a quien ejerce la Presidencia de la República la facultad de dirigir la administración general del país y a reglamentar las leyes.

Que el artículo 96 de la «De los servicios de confianza para las transacciones electrónicas, del documento electrónico y los documentos transmisibles electrónicos», erige al Ministerio de Industria y Comercio, a través de la Dirección General de Firma Digital y Comercio Electrónico, en autoridad de aplicación.

Que la tiene por objeto establecer el marco jurídico para la identificación electrónica, firma electrónica, el sello electrónico, el sello de tiempo electrónico, el documento electrónico, el expediente electrónico, el servicio de entrega electrónica certificada, el servicio de certificado para la autenticación de sitios web, el documento transmisible electrónico y, en particular, para las transacciones electrónicas.

Que la ley en cuestión regula nuevos servicios electrónicos cualificados de confianza, que pueden ser combinados entre sí para la prestación de servicios de forma fácil, segura y fiable, y que, para ser aplicado requieren procedimientos que faciliten su puesta en marcha efectiva.

Que debe de considerarse el número creciente de transacciones comerciales y la tramitación de procesos que se realizan por medios electrónicos y atendiendo a que estos podrán gestionarse por uno o más servicios de confianza electrónicos tanto en el sector público como privado.

Que la puesta en marcha de las disposiciones contenidas en la referida ley aportará seguridad jurídica, facilitará el comercio sin papel y permitirá la implementación de transacciones electrónicas seguras, contribuyendo a procesos transparentes, ágiles y eficientes.

Que a efectos de complementar los pormenores que viabilicen la implementación de la ley, resulta necesaria su reglamentación, toda vez que constituye una pieza clave para la inserción del país en las nuevas tendencias, avanzar hacia la economía digital y establecer condiciones claras para su prestación.

Que por Nota N.° 546, la Subsecretaría de Estado de Tributación (SET) expresó que el certificado cualificado tributario, incorporado en el presente decreto, se encuentra vinculado con el Sistema de Gestión Tributario Marangatú y, en especial, con el ecosistema del Sistema Integrado de Facturación Electrónica. Dicha circunstancia implica dar continuidad a procesos de facturación electrónica, así como otros proyectos liderados por la SET, los cuales resultan claves para procesos estratégicos del país.

Que por Providencia D.A.A. N° 134 del 4 de julio de 2022, la Dirección General de Asuntos Legales del Ministerio de Industria y Comercio, no formula reparos en contra de la reglamentación de la .

POR TANTO, en ejercicio de sus atribuciones constitucionales,

EL PRESIDENTE DE LA REPÚBLICA DEL PARAGUAY

D E C R E T A:

Art. 1°.- Reglaméntase la «De los servicios de confianza para las transacciones electrónicas, del documento electrónico y los documentos transmisibles electrónicos», de conformidad con las disposiciones del presente decreto.

Art.2°.- Facúltase al Ministerio de Industria y Comercio, en el ámbito de su competencia, a dictar las resoluciones que, en consonancia con la y esta reglamentación, fueren necesarias para la implementación del régimen jurídico «De los servicios de confianza para las transacciones electrónicas, del documento electrónico y los documentos transmisibles electrónicos».

Art. 3°.- Procedimiento de inicio y modificación de la prestación de servicios de confianza cualificados.
1. Solicitud. El interesado presenta el formulario de solicitud ante la Autoridad de Aplicación, acompañado del comprobante de pago de la tasa respectiva. El contenido del formulario será reglamentado por la Autoridad de Aplicación.

2. Documentación. El interesado acompaña los documentos que respaldan su identidad y/o personalidad jurídica.
La Autoridad de Aplicación reglamentará los documentos que serán requeridos a los solicitantes. Como mínimo, se requerirá la siguiente documentación:
a. Informe de Evaluación de la Conformidad (IEC) expedido por un organismo de evaluación de la conformidad, debidamente acreditado e independiente al solicitante de la cualificación. El organismo de supervisión solo admitirá, como organismos de evaluación acreditados, a aquellos que dispongan de la correspondiente acreditación, conforme con los requerimientos establecidos por la Autoridad de Aplicación.
b. Plan de acciones correctivas de las no conformidades detectadas en el informe de evaluación de la conformidad. El plan de acciones correctivas debe incluir todas las no conformidades detectadas, así como el detalle de las acciones implementadas para su corrección.
c. Informe técnico con el resultado de la evaluación y las normas técnicas en que se sustenta. Los informes técnicos deben contener las evidencias de cumplimiento de las normas y especificaciones técnicas recogidas en el alcance de acreditación, que el organismo de evaluación de la conformidad ha establecido para cada tipo de servicio.
d Plan de cese.
e. Declaración de prácticas de certificación o documento análogo, según el servicio de confianza solicitado.
f Plantillas o modelos de contratos empleados por el prestador para formalizar la prestación de sus servicios de confianza con clientes, proveedores y entidades en las que haya delegado todo o parte de su
actividad, según corresponda.
g.En su caso, documento que acredite la vigencia de la póliza de seguro de responsabilidad civil, seguro de caución o aval bancario, conforme con lo previsto en el artículo 10, numeral 3, inciso b) de la .
h. Documentación específica de los servicios de expedición de certificados electrónicos cualificados de firma, sello y autenticación de sitio web: I. Políticas de Certificación. II. Certificados electrónicos de pruebas. III. Certificados de autoridad de certificación y jerarquía.
i. Documentación específica del servicio de expedición de sellos cualificados de tiempo: I. Política de sellado de tiempo. II. Certificado del servidor TSA (TSU). III. Sellos de tiempo de prueba.
j. Documentación específica del servicio cualificado de entrega electrónica cualificada: I. Política de entrega electrónica. II. Certificado electrónico de firma o sello empleado para la firma electrónica de las evidencias del envío y recepción. III. Pruebas que evidencien el cumplimiento de los requisitos exigidos en el artículo 59, numeral 1, de la .
k. Documentación específica del servicio cualificado de conservación de firmas o sellos electrónicos cualificados: I. Política de conservación. II. Certificado empleado para firmar electrónicamente las evidencias de conservación. III. Pruebas que garanticen la ampliación de la fiabilidad de los datos de la firma o sello electrónico cualificado más allá del periodo de validez tecnológico.
1. Documentación específica del servicio cualificado de validación de firmas o sellos electrónicos cualificados: I. Política de validación. II. Certificado electrónico que realiza la firma electrónica del resultado del proceso de validación. III. Pruebas que evidencien el resultado del proceso de validación de una manera automatizada que sea fiable, eficiente e incluya la firma electrónica o el sello electrónico del prestador cualificado de servicio de validación (informe de validación).
m. Documentación específica del servicio de expedición de medios de identificación en virtud de sistemas de identificación electrónica con nivel de seguridad alto: 1. Política de identificación. II Especificaciones técnicas y de seguridad de los sistemas de identificación electrónica III. Especificaciones técnicas y de seguridad de los medios de identificación electrónica.
n. En su caso, certificaciones de dispositivo cualificado de creación de firma y evidencias de posesión del mismo.

3. Validación del informe. El informe de evaluación de la conformidad recibido debe confirmar que, a criterio del organismo de evaluación, el prestador cualificado de servicios de confianza y los servicios de confianza cualificados que presta cumplen los requisitos establecidos en la . En ningún caso la notificación de la intención de iniciar o actualizar la prestación, ni la remisión del informe de evaluación de la conformidad, podrán ser consideradas por el interesado como cumplimiento de los requisitos de la ley o como una autorización de inicio o habilitación e prestación del servicio.

4. Aprobación de la solicitud. El organismo de supervisión certificará el cumplimiento de los requisitos establecidos en la , dentro del plazo de 90 días contados desde la presentación de la solicitud, prorrogables por única vez en igual período y por motivos fundados. Durante este proceso, el organismo de supervisión podrá solicitar documentación adicional y/o realizar inspecciones a las instalaciones del interesado, por intermedio de sus funcionarios o recurrir a terceros independientes y técnicamente cualificados, para que le asistan en las labores de supervisión y control. Una vez culminado el proceso, si el organismo de supervisión concluyere que el prestador cumple los requisitos establecidos, procederá por medio de resolución a conceder la cualificación al/los servicios que presta, otorgando la habilitación correspondiente. Posteriormente, y conforme con lo previsto en el artículo 25 de la , procederá a actualizar la lista de confianza de prestadores cualificados de servicios electrónicos de confianza, momento a partir del cual el prestador podrá comenzar a prestar el servicio de confianza cualificado y a utilizar la etiqueta de confianza para indicar los servicios de confianza cualificados que presta, siguiendo las directrices definidas en el presente decreto y relativas a la forma de la etiqueta de confianza «PY» para servicios de confianza cualificados.

5. Rechazo de la solicitud. En el caso de que el organismo de supervisión concluyere que no se reúnen los requerimientos prescriptos, se procederá al rechazo de la solicitud vía resolución.

Art. 4°.- Revocación de habilitación de los prestadores cualificados de servicios de confianza.
1. La habilitación de los prestadores cualificados de servicios de confianza será revocada en los siguientes casos:
a. Por solicitud del prestador de servicios de confianza habilitado, previa autorización de la Autoridad de Aplicación
b. Por falta de pago de las tasas respectivas.
c. Por pérdida de las condiciones que sirvieron de fundamento a su habilitación.
d. Por incumplimiento muy grave o reiterado de las obligaciones establecidas.
e. Por otras causas no previstas debidamente justificables.
2. La Autoridad de Aplicación regulará el procedimiento de revocación respectivo.

Art. 5°.- Procedimiento de inicio, modificación y cese de la prestación de servicios de confianza no cualificados.
1. Solicitud. El interesado presenta el formulario de solicitud ante la Autoridad de Aplicación, el cual deberá ser comunicado en el plazo de tres meses desde del inicio de actividades. En el mismo plazo deberán comunicar la modificación de los datos inicialmente transmitidos y el cese de su actividad. El formulario será reglamentado por la Autoridad de Aplicación.
2. Listado de prestadores de servicios no cualificados. La Autoridad de Aplicación publicará en su página web el listado de prestadores de servicios de confianza no cualificados.

Art. 6°.- Incidentes de seguridad
El prestador de servicios de confianza cualificado y no cualificado deberá realizar la comunicación relativa a incidentes de seguridad en un plazo de veinticuatro horas, contadas desde el conocimiento del incidente, a través de un formulario cuyo contenido será reglamentado por la Autoridad de Aplicación.

Art. 7°.- Procedimiento de acreditación de un organismo de evaluación de la conformidad
1. Solicitud El interesado presenta un formulario de solicitud ante la Autoridad de Aplicación, acompañando el comprobante de pago de las tasas de acreditación. La Autoridad de Aplicación reglamentará el contenido del formulario.
2. Documentación y requisitos: El interesado acompaña los documentos que respaldan su identidad y/o personalidad jurídica. La Autoridad de Aplicación reglamentará los documentos que serán requeridos a los solicitantes, que deberá contemplar que los solicitantes cumplan, como mínimo, los siguientes requisitos:
a. Acreditar demostrada y reconocida trayectoria o suficiente capacidad profesional y experiencia para la prestación de servicios de auditoría en seguridad de la información.
b. Tener la capacidad de poder realizar auditoría con relación al sistema de control, confidencialidad, integridad, calidad y la disponibilidad de los sistemas de información.
c. Mantener estricta confidencialidad durante el proceso de auditoría y tras su culminación.
3. Evaluación. La Autoridad de Aplicación recibirá el formulario y, atendiendo a lo dispuesto en el artículo 24, numeral 4, inciso a), de la , acreditará al organismo de evaluación de la conformidad, así como también aprobará el plan de evaluación que contendrá objetivo, plazo, procedimientos y técnicas de auditoría a realizar.
4. Plazo. La Autoridad de Aplicación se expedirá sobre la autorización o rechazo, según corresponda, en el plazo de tres meses de presentada la solicitud, prorrogables por una vez en igual período y por motivos fundados. Durante el proceso de acreditación podrá requerir adicionalmente al solicitante información o documentación complementaria que resulte necesaria. En el caso de la acreditación, la Autoridad de Aplicación indicará que el organismo de evaluación se ajusta a estándares y normas establecidos, y que dispone de la capacidad y conocimiento suficiente para evaluar la conformidad de los prestadores de servicios de confianza con los requisitos de la .

Art. 8°.- Informe de evaluación de la conformidad
1. El organismo de supervisión solo admitirá como organismos de evaluación a aquellos que dispongan de la correspondiente acreditación.
2. El informe de evaluación de la conformidad, que expida el organismo de evaluación de la conformidad, deberá indicar expresamente la confirmación de que tanto el prestador cualificado de servicios de confianza, como los servicios de confianza cualificados que presta, cumplen los requisitos establecidos en la y el presente reglamento.
3. El informe será suficientemente detallado como para que el organismo de supervisión concluya, fehacientemente, que el prestador cualificado de servicios de confianza, como los servicios de confianza cualificados que presta, cumplen los requisitos establecidos.
4. La estructura y contenido del informe deberán ajustarse a los requisitos indicados en la reglamentación respectiva, sin perjuicio de que el organismo de supervisión pueda requerir información adicional al solicitante.

Art. 9°.- Estándares.
La Autoridad de Aplicación, dentro del ámbito de su competencia, determinará los estándares admisibles que se deberán acreditar para el cumplimiento de los requerimientos respecto a los servicios cualificados de confianza, los documentos electrónicos y los documentos transmisibles electrónicos. Para la determinación de los estándar admisibles, la Autoridad de Aplicación deberá adoptar aquellos que tengan carácter internacional y que estén vigentes tecnológicamente o los desarrollados localmente.

Art. 10.- Listas de confianza.
1. Las listas de confianza serán publicadas en el sitio web oficial de la Autoridad de Aplicación.
2. Las listas de confianza contendrán información relativa a los prestadores cualificados de servicios de confianza y los siguientes servicios cualificados:
a. Servicio de expedición de medios de identificación en virtud de sistemas de identificación electrónica con nivel de seguridad alto.
b. Servicio de expedición de certificados electrónicos cualificados de firma electrónica.
c. Servicio de expedición de certificados electrónicos cualificados de sello electrónico.
d. Servicio de expedición de certificados electrónicos cualificados de autenticación de sitios web.
e. Servicio de expedición de sellos electrónicos cualificados de tiempo.
f Servicio cualificado de entrega electrónica certificada.
g. Servicio cualificado de validación de ,firmas electrónicas cualificadas.
h. Servicio cualificado de validación de sellos electrónicos cualificados.
i. Servicio cualificado de conservación de . firmas electrónicas cualificadas.
j. Servicio cualificado de conservación de sellos electrónicos cualificados.

Art. 11.- Etiqueta de confianza «PY» para servicios de confianza cualificados. La etiqueta de confianza «PY» para servicios de confianza cualificados se utilizará de manera que permita reconocer claramente los servicios cualificados que corresponden a la etiqueta. Podrá ir acompañada de elementos gráficos o textuales que indiquen los servicios de confianza cualificados para los que se utiliza, a condición de que no modifiquen la naturaleza de la etiqueta de confianza «PY» par servicios de confianza cualificados, ni alteren el vínculo con las listas de confianza aplicables referido en el artículo 27, apartado 2, de .

Art. 12.- Suscripción de acuerdos.
La Autoridad de Aplicación podrá suscribir acuerdos con entidades del sector público y privado, nacionales e internacionales, con el fin de alcanzar los objetivos previstos en la ley.

Art. 13.- Centro de soporte.
1. Créase el Centro de soporte cuyo objetivo será garantizar a todos los usuarios de los servicios de confianza vinculados a la , un servicio de soporte técnico de alta calidad durante toda la vigencia de los servicios.
2. La asistencia técnica o soporte técnico es un rango de servicios por medio del cual se proporciona asistencia a los usuarios, para resolver dudas o inconvenientes al momento de utilizar un producto o servicio, sea este el hardware o software de una computadora de un servidor de internet, dispositivos periféricos, o cualquier otro sistema informático.
3. El Centro de soporte deberá poseer la infraestructura necesaria para proveer el servicio, así como contar con los elementos tecnológicos requeridos, para brindar la atención deseada conforme a las condiciones y características que se especificarán en la reglamentación respectiva.

Art. 14.- Garantías.
1. Para la presentación de las garantías previstas en la ley, el prestador cualificado de servicios de confianza deberá cumplir con alguno de los siguientes requisitos:
a. Póliza de seguro de responsabilidad civil o póliza de seguro de caución, según corresponda, emitida por una compañía de seguros autorizada a operar en la República del Paraguay por la Superintendencia de Seguros del BCP, y/o;
b. Aval bancario emitido por una entidad autorizada por la Superintendencia de Bancos del BCP para operar en la República del Paraguay.

Art. 15.- Continuidad de la Infraestructura de Clave Pública del Paraguay.
Dispóngase la continuidad del funcionamiento y la adecuación a las disposiciones de la , para la prestación efectiva de los servicios prestados por la Infraestructura de Clave Pública del Paraguay o ICPP. Para tal fin, facúltase a la Dirección General de Comercio Electrónico del Ministerio de Industria y Comercio a adoptar todas las acciones pertinentes que se requieran para su cumplimiento.

Art. 16.- Tasas. Autorízase al Ministerio de Industria y Comercio a reglamentar las cuestiones relativas a la percepción de tasas por prestación de servicios y realización de actividades comprendidas en el ámbito de su competencia.

Art. 17.- Prestadores de servicios reconocidos por leyes anteriores. Reconócese a los prestadores de servicios de certificación habilitados por leyes anteriores como prestadores cualificados de servicios de confianza, exclusivamente para la prestación del servicio de creación, verificación y validación de firmas electrónicas cualificadas. A tal efecto, dispóngase la continuidad del servicio, no obstante, para ofrecer la modalidad de gestión de los datos de creación de firma en nombre del firmante, deberán realizar las adecuaciones necesarias y correspondientes, conforme conlas directivas y procedimientos dictados por la Autoridad de Aplicación.

Art. 18.- Certificado cualificado tributario.
El Ministerio de Industria y Comercio dispondrá de un perfil de certificado cualificado específico, expedido por un prestador cualificado de servicios de confianza, el cual podrá ser utilizado para todos los fines convencionales ante el Sistema Marangatu, Sistema Integrado de Facturación Electrónica Nacional, otros Sistemas de Información administrados por la Subsecretaría de Estado de Tributación (SET) y otros usos afines autorizados por la Autoridad de Aplicación.

Art. 19.- Notificaciones, comunicaciones e informes.
Las notificaciones, comunicaciones e informes que se mencionan en la , que deben ser remitidos por los prestadores de servicios electrónicos de confianza que tengan la intención de iniciar o modificar la prestación de servicios de confianza cualificados, iniciar o modificar la actividad de prestadores no cualificados, notificar incidentes de seguridad, contestar requerimientos, así como cualquier otro escrito de solicitud, deberán ser remitidos por medios electrónicos a través del sistema de información designado por la Autoridad de Aplicación. el cual estará disponible en su sitio oficial de Internet. Las excepciones al mecanismo electrónico serán autorizadas de manera excepcional y fundada.

Los prestadores cualificados y no cualificados de servicios de confianza, organismos de evaluación de la conformidad, organismos de supervisión, órganos de acreditación y de supervisión, y demás sujetos que determine la Autoridad de Aplicación, deberán consignar o declarar un sistema de información para toda comunicación o intercambio de documentación electrónica a los que se hace referencia en la 1 y el presente decreto.

Art. 21.- El presente decreto será refrendado por el Ministro de Industria Comercio.

Art. 22.- Comuníquese, publíquese e insértese en el Registro Oficial.

DECRETO N° 7576/22